gemeente Steenbergen | Privacybeleid 2022

Zo gaat de gemeente Steenbergen om met privacy

In dit beleid laat gemeente Steenbergen zien op welke manier zij omgaat privacybescherming, en wat er wettelijk wel en niet verantwoord is.

Inleiding

Privacy speelt een belangrijke rol in de relatie tussen de burger en de overheid. Privacy is een grondrecht (bron:1) en een fundamentele vrijheid; het gaat ook om bescherming van (persoons)gegevens en vertrouwelijke informatie.

Gemeenten zijn de verantwoordelijkheid voor persoons- en politiegegevens en gegevensuitwisseling op alle terreinen waar ze actief zijn. Gemeenten zijn verplicht om zorgvuldig en veilig, proportioneel en vertrouwelijk om te gaan met het verzamelen, bewaren en beheren van persoonsgegevens van burgers. Dat geldt voor taken op het gebied van basisadministraties, openbare orde en veiligheid, en het sociaal domein. Data verzamelen en verwerken is geen doel op zich. Informatie is nodig om processen van de gemeente bij producten en diensten tijdens de bedrijfsvoering effectief te laten verlopen. Goed en zorgvuldig omgaan met persoonsgegevens is een dagelijkse bezigheid van gemeenten.

Het beschermen van de privacy is en wordt steeds complexer door technologische ontwikkelingen, explosieve toename van dataverkeer, de decentralisaties, keten-samenwerkings-verbanden, grotere uitdagingen op het terrein van veiligheid en nieuwe (Europese) wetgeving. Aan deze ontwikkelingen kleven dilemma’s, risico’s en ethische vraagstukken. Privacy en informatieveiligheid staan soms onder druk. Daarom is het belangrijk om transparant te zijn over de manier waarop wordt omgaan met persoons- en politiegegevens en het waarborgen van de privacy.

Wij blijven investeren in veilige digitale ambities, in kennis en kunde.

Scope van de beschrijving van het privacy beleid

Dit privacy beleid beschrijft de bescherming van persoonsgegevens vanuit de Algemene Verordening Gegevensbescherming (AVG).

De Wet Politie Gegevens (WPG) en Bpgboa behoren sinds 2019 ook tot het beschermingsbeleid en gaan over het verwerken van politiegegevens. Buitengewone Opsporingsambtenaren (Boa’s) verwerken van politiegegevens in verband met de opsporing en vervolging van strafbare feiten. Het gaat om de WPG domeinen leerplichtwet, werkzaamheden van het team Openbare Orde en Veiligheid en bij de gedelegeerde taak aan de ISD. Politiegegevens over onderzoek en vervolging van strafbare feiten kunnen binnen BIBOB-procedures aan de orde komen. Het zijn alleen Boa’s die deze gegevens mogen verwerken. De bescherming van betrokkenen bij politiegegevens lijkt sterk op die van de AVG, maar wijkt tegelijk af. De toegang tot de WPG rechten zijn te vinden op de website van de gemeente. Dit beschermingsbeleid is beschreven als sectorspecifiek beleid WPG wanneer de gemeente als werkgever is van Boa’s. Buitengewone Opsporingsambtenaren verwerken persoonsgegevens vanuit de AVG én politiegegevens op basis van de WPG. Zij dienen te beschikken over grondige kennis van beide wetten. Het AVG-sectorspecifiek beleid geldt ook voor de bescherming vanuit de Jeugdwet. Deze wet beschrijft eigen procedures voor Jeugdwerkers. Voorbeelden zijn de aantoonbare inschrijving van Jeugdwerkers in een beroepsregister en regels bij inzage door cliënten in hun dossier. De voorwaarde voor de geldigheid van dit beleid is dat jeugdwerkers in dienst zijn van de gemeente.

Wetgeving en definities

Elke lidstaat van de Europese Unie dient vanaf 25 mei 2018 te voldoen aan de Europese Privacy verordening (General Data Protection Regulation – afgekort GDPR). (bron 2)

De Nederlandse versie is de Algemene Verordening Gegevensbescherming (AVG) die samen met de Uitvoeringswet AVG uitkwam, is sindsdien in werking. Voor het telefonisch, al dan niet draadloos, verwerken geldt tegelijk een aanvullende e-privacyrichtlijn. Deze richtlijn zal worden vervangen door een eigen verordening. Deze speelt in op de digitale data-ontwikkelingen, waarbij draadloze informatie-uitwisseling onmiskenbaar een rol speelt. Ook zullen de DGA (Data Governance Act) en technische Eu-Acts nieuwe of aanvullende eisen stellen aan de gemeente bij de omgang met data. Sinds 2019 is de Wet Politie Gegevens (voortaan: WPG) met de BOA functie uitgebreid en van kracht. Deze wet beschermt de politiegegevens die bijzondere opsporingsambtenaren en politie verwerken.

De gemeente voert vaak taken uit op basis van publieke taken en wetten. Indien deze wetten onvoldoende voorzien in de bescherming van de privacy en informatieveiligheid, valt de gemeente terug op de (U)AVG, de e-privacy-richtlijn. Deze wetten borgen de bescherming van inwoners, medewerkers, kortom individuen. Ook kwetsbare groepen in onze samenleving moeten kunnen rekenen op deze bescherming.

Voor de bedrijfsvoering en dienstverlening past de gemeente actuele landelijke normkaders toe, zoals de kaders Baseline Informatiebeveiliging Overheid en AVG borging.

De wijze waarop de gemeente het privacybeleid en de informatieveiligheid onderhoudt in de organisatie, is beschreven in het document Bestuurlijke organisatie Privacybescherming. Dit is als bijlage 1 aan het Privacybeleid toegevoegd.

Reikwijdte

Het privacybeleid is van toepassing op alle verwerkingen van persoons- en politiegegevens door alle bestuursorganen van de gemeente. Oftewel: voor alle verwerkingen die binnen de gemeente plaatsvinden. (bron 3)

Verwerkingsverantwoordelijke

De bestuursorganen van de gemeente zijn allemaal verantwoordelijken voor de verwerkingen die door of namens de gemeente worden uitgevoerd. De bestuursorganen van de gemeente zijn de burgemeester, het college van Burgemeester en Wethouders (het college) en de Gemeenteraad.

De ambtelijke organisatie werkt vanuit teams. Iedere Manager is de verantwoordelijke voor het voldoen aan de AVG richtlijnen binnen het team van medewerkers. (bron 4)

Ons streven in 2023

Het streven van de gemeente Steenbergen is dat de AVG eind 2023 het volwassenheidsniveau 3 wordt toegepast. Het volwassenheidsniveau geeft aan in welke mate de AVG toepassing dagelijks in gebruik is.

Bij het bereiken van volwassenheidsniveau 3 heeft de gemeente werkprocessen, beleid en protocollen beschreven en vastgesteld. Vanaf vertrekpunt ontwikkelt de gemeente haar bedrijfsvoering en dienstverlening naar voorspelbaarheid. Hiervoor is het nodig dat de gehele gemeentelijke organisatie op basis van werkprocessen werkt met structureel gebruik van evaluaties van alle AVG vereisten op activiteiten. De Plan Do Control en Act (PDCA) – cyclus dient standaard toegepast te worden bij de activiteiten van de gemeente.

Vanaf het volwassenheidniveau 4 (CMMI) gaat de gemeente Steenbergen tijdens haar dienstverlening en bedrijfsvoering voldoen aan het drempelniveau van de AVG-integratie -vereiste. Er is sprake van aantoonbaar gebruik van privacybescherming binnen een Plan-Do-Check-Act cyclus (PDCA). De werkwijze van de gemeente wordt voor betrokkenen tastbaar. Binnen de PDCA-cyclus ondervinden beleidvorming, planning, uitvoering en monitoring een evaluatie met bijstelling, als dat nodig is. Dit geldt ook voor nieuwe initiatieven, die de gemeente integreert in de bedrijfsvoering en/of dienstverlening.

Het uitvoeren van evaluaties bieden aan burgers, bedrijven en belanghebbenden meer zekerheid en is noodzakelijk bij een veilige digitalisering van de gegevenshuishouding. Digitaliseren van informatie bevordert gemak bij het verwerken. Het kan procedures eenvoudiger maken en versnellen. We hebben de ambitie om te voldoen aan alle wetten en landelijke overheidsnormen, die privacybescherming van betrokkenen en informatie veiligheid regelen.

De gemeente past tijdens de ontwikkeling naar een hoger volwassenheidsniveau steeds meer de PDCA-cyclus toe en handelt naar het beleid “bestuurlijke inrichting privacy-organisatie “. Daarin zijn de verantwoordelijkheden, taken en rollen en overlegvormen vastgelegd.

In maatschappelijke ontwikkelingen staat privacy soms onder druk. De bescherming van privacy staat bevindt zich volop in een maatschappelijke ontwikkeling, waarin het bewustzijn van burgers en bedrijven toeneemt. Er kleven soms privacy dilemma’s, -risico's of ethische vraagstukken aan de inzet van bestaande en nieuwe technieken.

Wij willen op een veilige, verantwoorde en ethische manier omgaan met onze data.

De WPG volgt een eigen traject naar hetzelfde volwassenheidsniveau van integratie, die de AVG aangaat. Dit traject is begonnen na de eerste audit. De WPG verplicht een jaarlijkse interne audit op een zelf gekozen thema. Een erkende externe auditor dient de uitwerking van de gemeente te beoordelen. Vier jaarlijks vindt een externe audit plaats over het beleid en de uitvoering. De eerste audit betreft het jaar 2021. De rapportage van de externe audit dient bij de Landelijke Toezichthouder ingebracht te worden en kan aanleiding geven tot een aanwijzing met het verzoek om een verbeterplan binnen een gestelde termijn in te leveren. De FG is bij de WPG domeinen een onafhankelijke toezichthouder voor de gemeente.

Uitgangspunten

• •
  Bij dataverzamelingen en datagebruik zetten wij het maatschappelijk belang (betrokkenen) voorop;
• •
  Burgers, bedrijven en instellingen kunnen vertrouwen op onze zorgvuldigheid;
• •
  We beschermen onze informatie (bron 6)
• •
  Wij geven toegang tot informatie volgens het "Alleen zien wat voor de functie nodig is"- principe; dit betekent dat iedere medewerker een passende autorisatie ontvangt om informatiespreiding tot het noodzakelijke niveau terug te brengen.
• •
  We werken vanuit Privacy-by-design en Privacy-by-default; Privacy by design (bron 7) houdt in dat al tijdens het (her)ontwerpproces de AVG/WPG erbij wordt betrokken. Dit geldt dus ook bij aanpassingen van processen en systemen. Risico’s voor privacybescherming worden zo vroeg mogelijk onderkent en met passende organisatorische en technische maatregelen weggenomen. Privacy by Default voorkomt dat standaard-instellingen in de vorm van digitale aankruisvakjes zijn ingevuld. Uitgangspunt is dat bezoekers van een website de gevraagde informatie zelf invullen!
• •
  Wij nemen passende organisatorische en/of technische maatregelen (bron 8) op basis van risico voor de bescherming van persoonsgegevens. Hoge risico’s hebben voorrang op minder grote risico’s.
• •
  We vergroten het vertrouwen bij onze burgers, bedrijven en belanghebbenden door aantoonbaar en blijvend te innoveren en investeren in privacy en informatieveiligheid;
• •
  Wij blijven verantwoordelijk voor persoonsgegevens "in huis" en in de regio bij “bronhouderschap”. (Bron 9)

Samenhang Privacy en Informatieveiligheid

Medewerkers binnen Privacy en Informatieveiligheid hebben eigen- en gezamenlijke taken.

Deze gemeenschappelijkheid blijkt ook uit de AVG (bron 10) waarin staat dat persoonsgegevens op een veilige manier verwerkt moeten worden door het nemen van de juiste technische en organisatorische maatregelen. Maatregelen die ervoor moeten zorgen dat het verwerken van persoonsgegevens op een passende beveiliging kan rekenen. Toetsing vanuit normenkaders vindt plaats op de Beschikbaarheid, Integriteit en Vertrouwelijkheid van informatie (BIV).

De bijgevoegde afbeelding geeft aan wat beide vakgebieden bindt en waarmee rekening gehouden moet worden bij het plannen, uitvoeren, evalueren en desgewenst bijstellen (volgens PDCA-cyclus).

Verwerkingen (Bron 11)

Verwerken van persoonsgegevens is elke handeling of elk geheel van handelingen met persoons- en politiegegevens, al dan niet uitgevoerd via geautomatiseerde processen. In de AVG valt onder een verwerking:

• •
  Verzamelen, vastleggen en ordenen
• •
  Bewaren, bijwerken en wijzigen
• •
  Opvragen, raadplegen, gebruiken
• •
  Verstrekken door middel van doorzending
• •
  Verspreiding of enige andere vorm van ter beschikkingstellen
• •
  Samenbrengen, met elkaar in verband brengen
• •
  Afschermen, uitwissen of vernietigen van gegevens

Uit deze opsomming blijkt dat veel wat we veel met een persoonsgebonden gegeven doen. Een verwerking gebeurt op allerlei manier, zoals digitaal, op papier, in gesprek en bij beeldmateriaal.

Een verwerking van de gemeente voldoet aan de AVG als de Beginselen (Bron: 12) worden toegepast. Dit betekent onder meer:

• •
  Dat de gemeente transparant is naar de betrokkene(n) over de wijze van verwerken;
• •
  Dat de gemeente passende maatregelen neemt om de juistheid van de gegevens te behouden.
• •
  Dat dat er sprake is van minimale gegevensverwerking.
• •
  Dat de gemeente bewaartermijnen van gegevens stelt en naleeft.
• •
  Dat de gemeente neemt veiligheidsmaatregelen om ongeoorloofd gebruik, verlies, vernietiging of beschadiging van persoonsgebonden informatie te voorkomen.
• •
  Dat de gemeente gehouden is aan een verantwoordingsplicht.
• •
  Dat verwerkingen doel gebonden zijn en een rechtmatige grondslag hebben.

Doeleinden (Bron 13)

Volgens de wet mogen persoonsgegevens alleen verzameld worden als daarvoor een doel is vastgesteld. Het doel moet uitdrukkelijk omschreven en gerechtvaardigd zijn. De gegevens mogen niet voor andere doelen verwerkt worden. Voor de uitvoering van sommige wetten, zoals bijvoorbeeld de Jeugdwet, zijn de doelen voor het verwerken in de wet al vastgelegd, net als de persoonsgegevens die gevraagd en verwerkt mogen worden

Rechtmatige grondslag (Bron 14)

De wet zegt dat er voor elke verwerking van persoonsgegevens een rechtmatige grondslag uit de wet van toepassing moet zijn. Dat betekent dat de verwerking alleen mag plaatsvinden:

• •
  Wanneer de betrokkene toestemming heeft gegeven voor de specifieke verwerking
• •
  Voor de uitvoering van een overeenkomst waar de betrokkene onderdeel was
• •
  Om een verplichting na te komen die in de wet staat
• •
  Om een ernstige bedreiging voor de gezondheid van de betrokkene te bestrijden
• •
  Voor de goede vervulling van de gemeentelijke taak om het algemeen belang te dienen
• •
  Voor de bescherming van eigendommen van de gemeente.

De Wet Politie Gegevens kent andere grondslagen. De rechtmatige grondslag voor het verwerken van strafrechtelijke gegevens zijn Art. 8,9,10 en 13 WPG. Deze strafrechtelijke gegevens gaan over de opsporing en vervolging waarmee Boa’s te maken hebben.

Categorieën persoonsgegevens (Bron 15)

De (U)AVG onderscheidt Gewone-, Gevoelige- en Bijzondere Persoonsgegevens. Gevoelige en Bijzondere persoonsgegevens zijn in Nederland gelijkwaardig. De gemeente ziet deze persoonsgegeven aan als het hoogste kans risico voor het benadelen van een betrokkene.

Strafrechtelijke gegevens AVG (bron 16) behoren ook tot de persoonsgegevens met een hoog beschermingsniveau. Het is de gemeente -als overheid- toegestaan hiermee om te gaan. Het gebruik van persoonsgegevens is gekoppeld aan verwerkingen, die een medewerker uitvoert op basis van een toegekende autorisatie. (Bron 17 ) De verantwoording van het gebruik van noodzakelijke persoonsgegevens vindt plaats in het Register van Verwerkingen. (Bron 18) De gemeente gebruikt als overheid het nationale identificatienummer. Het verwerken hiervan is voorzien van passende waarborgen zoals autorisatie bij het uitvoeren van een taak.

De politiegegevens zijn terug te vinden in het WPG-register van verwerkingen.

Categorieën ontvangers

Het verwerken is gebonden aan bevoegdheid en autorisatie. In een beschrijving van een verwerking dient de gemeente aan te geven wie met de verkregen persoonsgebonden informatie omgaat. De gemeente geeft ketenpartners aan. Interne medewerkers zijn aan de functie herkenbaar.

Bewaartermijn

Iedere verwerking heeft eigen bewaartermijnen, die berusten op selectielijsten van de Landelijke overheid. Bij een afgebroken handeling geldt vaak een andere termijn dan een volledig afhandeling. Na de bewaartermijn vernietigt de gemeente de informatie, tenzij de gebruiker noodzakelijke reden heeft om deze persoonsgebonden informatie om zakelijke redenen te bewaren. Er wordt dan een nieuwe bewaartermijn aangehouden, waarna alsnog vernietiging volgt. Bij sommige informatie is de bewaartermijn eeuwigdurend, zoals vergunningen bij pandgegevens.

Passende maatregelen

Om verwerkingen veilig te houden, treft de gemeente passende maatregelen in de organisatie en bij de technieken. In de beschrijving van de verwerking zijn het normenkader van de overheid opgenomen.

Wijze van verwerking

De hoofdregel van de verwerking van persoonsgegevens is dat verwerken alleen toegestaan is in overeenstemming met de wet en op een zorgvuldige wijze. Persoons-/politiegegevens worden zoveel mogelijk verzameld bij de betrokkene zelf. De wet gaat uit van subsidiariteit. Dit betekent dat verwerking alleen is toegestaan wanneer het doel niet op een andere manier kan worden bereikt.

De wet spreekt over proportionaliteit. (Bron 19) Dit betekent dat persoonsgegevens alleen mogen worden verwerkt als dit in verhouding staat tot het doel. Wanneer zonder, of met minder (belastende), persoonsgegevens hetzelfde doel bereikt kan worden, moet daar altijd voor worden gekozen.

De gemeente zorgt ervoor dat de persoonsgegevens kloppen en volledig zijn, voordat ze verwerkt worden. (Bron 20) Alleen personen met een geheimhoudingsplicht mogen ze voor de gemeente verwerken. Daarnaast beveiligt de gemeente alle persoonsgegevens. (Bron 21) Dit moet voorkomen dat iemand die daar geen recht toe heeft, de persoonsgegevens niet inziet of kan wijzigen. Hoe de gemeente dit doet, is verwoord in het informatiebeveiligingsbeleid van de gemeente en in een eventueel aanvullend beveiligingsplan specifiek opgesteld voor een proces of registratie. (Bron 22)

De omgang met politiegegevens is beschreven in het sectorspecifieke beschermingsbeleid.

Samenwerking (Bron 23)

Met partijen die namens de gemeente diensten uitvoeren, gaat de gemeente een verwerkersovereenkomst aan om een veilig verwerking vast te leggen.

Met partijen met wie de gemeente op aan andere manier binnen de EU samenwerkt, sluit de gemeente een privacy-overeenkomst af, zodat de veilige verwerking van uw persoonsgegevens wordt gegarandeerd. De gemeente houdt een Register van Overeenkomsten.

De gemeente gebruikt voor WPG verwerkingen een apart Register van Overeenkomsten.

Doorgifte (Bron 24)

De gemeente geeft alleen persoonsgegevens door aan een land buiten de Europese Economische Ruimte (EER) of een internationale organisatie op grond van goedgekeurde afspraken door de Europese Commissie. (bron 25)

Transparantie en communicatie

De gemeente, als overheid, speelt voortdurend in op nieuwe ontwikkelingen om transparantie te bevorderen. Drie van die nieuw wetten hebben verstrekkende gevolgen voor de bedrijfsvoering en dienstverlening.

Nieuwe wettelijke ontwikkelingen en transparantie

Wet Open Overheid (WOO)

Na 1 mei 2022 de Wet Open Overheid-WOO kan een persoon (voortaan: betrokkene) een verzoek om informatie indienen bij de gemeente. Deze wet komt verzoekers meer tegemoet dan de Wet WOB. Bij het WOO-verzoek bekijkt de gemeente altijd of het antwoord geen inbreuk maakt op de persoonlijke levenssfeer van andere burgers (naamgenoten of daarop gelijkend). In principe verstrekt de gemeente geen persoonsgegevens als de belangen van anderen worden benadeeld.

De Landelijke Overheid heeft een digitaal platform in voorbereiding waarop burgers hun informatie kunnen vinden. Dit platform “Plooi” bevordert de inzage en verzoek-procedures.

Wet hergebruik van overheidsinformatie (2015)

De Wet hergebruik van overheidsinformatie berust op een Europese richtlijn en is een Nederlandse wet geworden. De voorloper van de WOO bevatte hiervoor richtlijnen (2003, 2013) die op dit moment zijn vervallen. De wet regelt dat de overheid (openbare) informatie over burgers kan hergebruiken. Dit kan toch op gespannen voet staan met de AVG, die uitgaat van doelbinding, een rechtmatige grondslag en bescherming van betrokkenen bij het verwerken van persoonsgebonden informatie. De gemeente maakt bij de behoefte aan hergebruik een zorgvuldige belangenafweging. Het streven bij hergebruik is dat er geen inbreuk op de persoonlijke levenssfeer van betrokkenen ontstaat. In principe verstrekt de gemeente geen persoonsgebonden gegevens, tenzij de wet dat verplicht.

Omgevingswet

De nieuwe wet regelt dat burgers en bedrijven hun aanvraag voor vergunningen beter kunnen volgen en vinden. De gemeente gaat werken met nieuwe digitale systemen om dit mogelijk te maken. Onder bepaalde omstandigheden gebruikt de gemeente de Wet BIBOB om de “integriteit” van de aanvrager van een vergunning vast te stellen. Het onderzoek betreft ook gevoelige en bijzondere persoonsgegevens. Alleen geautoriseerde medewerkers van de gemeente mogen het onderzoek verrichten en hebben toegang tot de resultaten.

Informatieplicht (Bron 26)

De gemeente informeert betrokkenen over het verwerken van persoonsgegevens. Wanneer betrokkenen gegevens aan de gemeente geven, ontstaat een informatieplicht over de manier waarop de gemeente met de persoonsgegevens om zal gaan. Dit kan bijvoorbeeld via een E-formulier gebeuren. In de toelichting bij het formulier voorziet de gemeente een toelichting die voldoet aan de AVG.

Een belangrijke bron van informatie over de bescherming van privacy en informatieveiligheid is de privacyverklaring van de gemeentelijke website.

Wanneer de gegevens via een andere weg verkregen worden, dus buiten de betrokkene om, wordt de betrokkene geïnformeerd op het moment dat deze voor de eerste keer worden verwerkt.

Verwijdering (Bron 27)

De gemeente bewaart de persoonsgegevens niet langer dan nodig is voor het uitvoeren van gemeentelijke taken, of zoals vastgelegd in de Archiefwet. Wanneer er nog persoonsgegevens opgeslagen zijn die niet langer nodig zijn voor het bereiken van het doel, worden deze zo snel mogelijk verwijderd. Dit houdt in dat deze gegevens vernietigd worden, of zo worden aangepast dat de informatie niet meer gebruikt kan worden om iemand te identificeren. De gemeente is gebonden aan een geldende landelijke selectielijst, die beschrijft welke bewaartermijnen gelden.

Rechten van betrokkenen (Bron 28)

De wetten -AVG/WPG- bepaalt niet alleen de plichten van degenen die de persoons-/politiegegevens verwerken, maar bepaalt ook de rechten van de personen van wie de gegevens worden verwerkt. Deze rechten worden ook wel de ‘rechten van betrokkenen’ genoemd, en bestaan uit de volgende rechten:

• •
  Recht op informatie: Betrokkenen hebben het recht om aan de gemeente te vragen of zijn/haar persoonsgegevens worden verwerkt.
• •
  Recht op inzage: Betrokkenen hebben de mogelijkheid om te controleren of, en op welke manier, zijn/haar gegevens worden verwerkt.
• •
  Recht op correctie: Als duidelijk wordt dat de gegevens niet kloppen, kan de betrokkene een verzoek indienen bij de gemeente om dit te corrigeren.
• •
  Recht van verzet/beperking: Betrokkenen hebben het recht aan de gemeente te vragen om hun persoonsgegevens niet meer te gebruiken.
• •
  Recht om vergeten te worden: In gevallen waar de betrokkene toestemming heeft gegeven om gegevens te verwerken, heeft de betrokkene het recht om de persoonsgegevens te laten verwijderen.
• •
  Recht op overdraagbaarheid van gegevens: de betrokkene heeft het recht zijn aan de gemeente verstrekte persoonsgegevens te verkrijgen en deze gegevens ongehinderd over te laten dragen.

Recht op bezwaar: Betrokkenen hebben het recht om bezwaar aan te maken tegen de verwerking van zijn/haar persoonsgegevens. De gemeente zal hieraan voldoen, tenzij er gerechtvaardigde gronden zijn voor de verwerking.

Indienen van verzoek

Om gebruik te maken van de rechten kan de betrokkene een verzoek indienen. Dit verzoek kan zowel schriftelijk als via de e-mail ingediend worden (lees hier meer over op de pagina rechten van burgers) en betreft persoonsgegevens. De gemeente heeft een maand de tijd, vanaf de ontvangst van het verzoek, om te beoordelen of het verzoek gerechtvaardigd is. De wijze waarop de betrokkene de gevraagde informatie ontvangt, verschilt per wet. De informatie hierover valt onder de informatieplicht van de gemeente. Binnen een maand zal de gemeente laten weten wat er met het verzoek gaat gebeuren. Als het verzoek niet wordt opgevolgd is er de mogelijkheid om bezwaar te maken bij de gemeente, of een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP). Aan de hand van een verzoek kan de gemeente aanvullende informatie opvragen om zeker te zijn van de identiteit van de betrokkene. (Bron 29)

Een verzoek die strafrechtelijke gegevens betreft vanuit de WPG, kan op dezelfde manier worden ingediend. De wijze waarop de behandeling van het verzoek is geregeld, wijkt procedureel af van de AVG verzoeken. Dit is beschreven in het sectorspecifieke beschermingsbeleid. De termijnen zijn hetzelfde.

Geautomatiseerde verwerkingen

Geautomatiseerde verwerkingen zijn verwerkingen met een door software geregeld besluit. Dit type besluiten zijn gebaseerd op van “ingestelde” kenmerken. Er is geen menselijke tussenkomst geregeld.

Profilering (Bron 30)

De wet geeft aan dat er geen besluit mag worden genomen op basis van profilering.

Profilering vindt plaats wanneer er een geautomatiseerde verwerking van persoonsgegevens plaatsvindt. Bij profilering wordt aan de hand van persoonsgegevens naar bepaalde persoonlijke aspecten van een persoon gekeken om deze persoon te categoriseren en te analyseren, of om zaken te kunnen voorspellen. Voorbeelden van persoonlijke aspecten kunnen zijn; financiële situatie, interesses, gedrag of locatie. Logaritmen in software kunnen een profilering inhouden. De gemeente zet zich in om te voorkomen dat deze werking ontstaat en zorgt voor menselijke tussenkomst bij besluiten.

Om profilering wat duidelijker te maken, gebruiken we het volgende voorbeeld: Wanneer een bezoeker op de gemeentelijke website naar een bepaalde dienst kijkt, mag de gemeente geen actie ondernemen om de dienst aan te bieden. Gemeenten mogen wel bekijken hoe vaak een bepaalde dienst bekeken is, maar dus niet specifiek gericht adverteren. Dit doen wij niet.

Big data en tracking

Door middel van Big data onderzoek en tracking mogen alleen gegevens verwerkt worden wanneer deze niet herleidbaar zijn tot een levende persoon. Daarnaast worden ze alleen verzameld voor onderzoek dat door, of namens, de gemeente wordt uitgevoerd. De verzamelde gegevens door Big data onderzoek en tracking zijn alleen de gegevens die geautoriseerde personen om noodzakelijke redenen voor hun taak verzamelen. Bij het omzetten in een dataset zal dataminimalisatie worden toegepast. Dit betekent dat de gemeente alleen de data gebruikt, die echt nodig is voor het behalen van het doel. Daarnaast kunnen persoonsgegevens versleuteld of gepseudonimiseerd worden, zodat deze voor lezers niet herleidbaar zijn tot een persoon. (Bron 31) De gemeente verkoopt geen data.

Gemeente Steenbergen maakt geen gebruik van tracking met persoonsgegevens. Het gebruik van Big Data wordt op dit moment niet systematisch toegepast. Wij onderzoeken wel welke voordelen het gebruik van Big Data kan hebben voor onze dienstverlening.

Voor beleidsdoeleinden voert de gemeente regelmatig onderzoeken uit. Persoonsgegevens worden dan geanonimiseerd. Deze persoonsgegevens zijn op geen enkele manier herleidbaar tot een persoon en vallen daarom buiten de bescherming van de AVG. (Bron 32)

Inzet van camera’s

De gemeente maakt onder bepaalde omstandigheden gebruik van cameratoezicht, zoals vastgelegd in de Gemeentewet. Het gaat hierbij om bescherming van het bezit en van medewerkers. Ook de bodycam van Boa’s hebben deze rechtmatige grondslag. Dit inzet is aan stricte regels gebonden.

De gemeente gebruikt ook cameratoezicht voor het vergroten van de veiligheid op straat en het beschermen van gebouwen van de gemeente. De gemeente plaatst de camera’s met het doel de Openbare Veiligheid te dienen met de rechtmatige grondslag: publieke taak. Alleen de politie kan deze beelden volgen en opslaan op grond van de Wet Politiegegevens (voortaan: WPG).

Camera’s kunnen een grote inbreuk maken op de privacy van diegene die gefilmd worden. Om de privacy zo goed mogelijk te waarborgen, zetten wij camera’s terughoudend in. Bij het plaatsen van camera’s stelt de gemeente vooraf een onderzoek in. Dit is een GegevensEffectBeoordeling om de risico’s voor de belangen van betrokkenen te onderzoeken.

De politie kan video opnamen opvragen en behandelen vanuit de WPG. Pas na een verzoek van de politie of het Openbaar Ministerie werkt hieraan mee. Deze WPG verwerking voor opsporing en vervolging van strafbare feiten, valt buiten de verwerkingsverantwoordelijkheid van de gemeente.

Plichten van de gemeente

Register van verwerkingen (Bron 33)

De gemeente – als overheid- is wettelijk verplicht een register van alle verwerkingen aan te leggen en te beheren. Ze vervult daarin bijna altijd een verwerkingsverantwoordelijke rol. Elk register bevat wettelijke en aanvullende beschrijvingen van de verwerkingsactiviteiten, zoals:

• •
  De naam en contactgegevens van de verwerkingsverantwoordelijke en, mogelijk, de gezamenlijke verwerkingsverantwoordelijke;
• •
  De doelen van de verwerking;
• •
  Een beschrijving van het soort persoonsgegevens en de daarbij horende betrokkenen; Een beschrijving van de ontvangers van de persoonsgegevens;
• •
  Een beschrijving van het delen van persoonsgegevens aan een derde land of internationale organisatie;
• •
  De termijnen waarin de verschillende persoonsgegevens moeten worden gewist;
• •
  Een algemene beschrijving van veiligheidsmaatregelen

De verwerkingen onder de WPG zijn in een WPG-Register van Verwerkingen beschreven. De opbouw van het Register is anders. Een voorbeeld is de grondslag. Verwerkingen bij de Jeugdzorg vallen onder de AVG en neemt de gemeente op in dat Register van Verwerkingen.

Andere Registers

In het kader van aantoonbaar voldoen aan de AVG, houdt de gemeente aanvullend op het Register van Verwerkingen een aantal andere Registers bij. Deze Registers worden in de AVG niet genoemd, maar zijn wel noodzakelijk dienstverlening bij Landelijk Toezicht en het behouden (informatie)veiligheid.

De behandelingen in het kader van de WPG worden in dezelfde soort, maar eigen registers bijgehouden.

Register Gegevens Effect Beoordelingen

Gehouden onderzoeken, de risicotaxaties, worden in een Register vastgelegd. Het gaat om pre-DPIA’s en DPIA’s.

Register privacy-overeenkomsten

De gemeente houdt bij welke privacy overeenkomsten zijn afgesloten en is alert dat de overeenkomst is getekend voordat het delen van informatie begint. Tot de privacy-overeenkomsten behoren ook de afspraken die gemaakt zijn bij Doorgifte.

Register incidenten

Datalekken, onveilige situaties en veiligheidsincidenten zijn in dit register beschreven.

Register van Rechtsverzoeken

De ontvangen verzoeken worden vastgelegd.

Register van Toestemmingen

Indien verwerkingen een grondslag “Toestemming” hebben, wordt iedere activiteit met een Toestemming vastgelegd. De privacy-wetten willen dat deze wilsuitingen voldoen aan “vrij gegeven, uitdrukkelijk, doelgebonden”-vereisten voldoen. Een toestemming is altijd intrekbaar, maar kan niet altijd met terugwerkende kracht ongedaan worden.

Gegevensbeschermingseffectbeoordeling (Bron 34)

De gemeente beschermt privacy en informatie door een mix van maatregelen op het gebied van Mensen, Processen en Technieken. Onze maatregelen zijn risico gebaseerd. Het grootste risico krijgt voorrang. Het gaat daarbij om de juiste balans tussen informatieveiligheid en gebruiksgemak, waarbij veiligheid het zwaarste weegt.

Met een gegevensbeschermingseffectbeoordeling (voortaan: GEB) worden de effecten en risico’s van nieuwe of bestaande verwerkingen beoordeeld voor de bescherming van de privacy van de betrokkene(n). De gemeente voert deze GEB uit bij nieuwe verwerkingen, een geautomatiseerde verwerking, een grootschalige verwerking, of wanneer er een grootschalige monitoring van openbare ruimten plaatsvindt. Daarnaast voert de gemeente deze beoordeling planmatig uit op grond van landelijke aanwijzingen van de Autoriteit Persoonsgegevens (voortaan: AP). Dit geldt in het bijzonder bij verwerkingen waarbij nieuwe technologieën worden gebruikt. De instrument zijn een pré-DPIA en DPIA. (bron 35) Een pré-DPIA bevat de toetsingskader van de Europese en Landelijke Autoriteit voor het houden van een verplicht taxatie-onderzoek. Een uitgevoerde GEB is vastgelegd in het Register van Risicotaxaties.

Functionaris voor gegevensbescherming (voortaan: FG) (Bron 36)

De gemeente heeft binnen een regionaal samenwerkingsverband van gemeenten FG’s aangesteld. De FG is betrokken bij alle aangelegenheden die verband houden met de bescherming van persoons-/politiegegevens. De taken van de functionaris zijn informeren, adviseren, toezicht houden, bewustwording creëren, en optreden als contactpersoon van de AP. De FG onderhoudt contacten met het bestuurlijk orgaan en rapporteert de voortgang van privacy-ontwikkeling met onafhankelijke adviezen. Het is de bedoeling dat de functionaris de uitvoering op het gebied van bescherming van de privacy aan de organisatie over laat. De teams hebben hun eigen verantwoordelijkheid om te voldoen aan de verplichtingen van de AVG. De FG is verantwoordelijk voor het structureel toetsen van de implementatie en de uitvoering van de wettelijke eisen en de gemeentelijke richtlijnen op het gebied van privacy.

De FG is ook de onafhankelijke toezichthouder van de WPG. De gemeente heeft de aanstelling voor de WPG formeel besloten. Deze en andere vereisten uit de WPG zijn terug te vinden in het sectorspecifieke beleid WPG.

Incidenten (Bron 37)

Formeel heeft de AVG het over “inbreuken” . Er zijn verschillende vormen van “inbreuken”. We spreken van een datalek wanneer persoonsgegevens in handen vallen van personen die geen toegang tot die gegevens mogen hebben. Of wanneer er sprake is van verlies van persoonsbonden gegevens. Dit kan ook ontstaan door beschadiging of een verandering van deze gegevens.

Bij een datalek meldt de gemeente dit zonder onredelijke vertraging binnen 72 uur aan de Landelijke Toezichthouder (AP). Als dit later dan 72 uur is, wordt er een motivering voor de vertraging bij de melding gevoegd. Het kan zijn dat de inbreuk een hoog risico met zich meebrengt voor de rechten en vrijheden van de betrokkenen. In dit geval is de gemeente wettelijke gehouden dit aan de betrokkenen in eenvoudige en duidelijke taal te melden. Om toekomstige datalekken te voorkomen worden datalekken, onveilige situaties en veiligheidsincidenten geregistreerd en geëvalueerd. De gemeente handelt een melding volgens een protocol en procedure af en administreert meldingen in een Register Incidenten.

Afsluiting

De wijze waarop de privacy-organisatie binnen de gemeente werkt, is vastgelegd in beleid, protocollen, werkinstructies en planningen. Dit beleid betreft “Bestuurlijke inrichting privacy organisatie”.

Als de gemeente een wettelijke verplichting niet nakomt kan de betrokkene een klacht indienen. Deze zal via de klachtenregeling van de gemeente worden behandeld. In gevallen waar het reglement niets over zegt, beslist het verantwoordelijke bestuursorgaan van de gemeente.